![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
TrojanSpy.Win32.STEALC.A
UDS:Trojan-PSW.Win32.Stealerc.gen (KASPERSKY)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: スパイウェア/情報窃取型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、ワーム活動の機能を備えていません。
スパイウェアは、バックドア活動の機能を備えていません。
スパイウェアは、感染コンピュータ上の特定の情報を収集します。
スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のコンポーネントファイルを作成します。
- %ProgramData%\sqlite3.dll
- %ProgramData%\freebl3.dll
- %ProgramData%\mozglue.dll
- %ProgramData%\msvcp40.dll
- %ProgramData%\nss3.dll
- %ProgramData%\softokn3.dll
- %ProgramData%\vcruntime140.dll
(註:%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )
スパイウェアは、以下のプロセスを追加します。
- "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{Malware File Path}\{Malware File Name}" & del "%ProgramData%\*.dll" & exit
(註:%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )
他のシステム変更
スパイウェアは、以下のファイルを削除します。
- {Malware File Path}\{Malware File Name}.{Malware File Extension}
- %ProgramData%\{File Name}.dll
(註:%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )
感染活動
スパイウェアは、ワーム活動の機能を備えていません。
バックドア活動
スパイウェアは、バックドア活動の機能を備えていません。
ルートキット機能
スパイウェアは、ルートキット機能を備えていません。
情報漏えい
スパイウェアは、感染コンピュータ上の以下の情報を収集します。
- System Information:
- Public IP address
- Geolocation
- Hardware ID
- Operating system version
- System architecture
- Username
- Computer name
- Local time
- Time zone information
- Language
- Keyboard layout
- If machine is laptop or desktop
- {Malware File Path}\{Malware File Name}
- Physical resources
- CPU core count
- CPU name
- RAM amount
- Number of threads
- Display resolution
- GPU driver
- List of running processes
- List of installed applications
- Screenshot of current display
- Browser data (e.g. autofills, cookies, credentials, credit card data, browser extensions)
- Chromium-based browsers
- Firefox-based browsers
- Opera-based browsers
- Email credentials:
- Outlook
- Cryptocurrency wallet data
- Telegram session data
- Steam metadata
- Discord tokens
- Account credentials:
- Tox
- Pidgin
その他
スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php
スパイウェアは、以下を実行します。
- It terminates itself when one of the following conditions is met:
- If system processor count is less than 2
- If system display raster lines is less than 666
- If system default computer language is one of the following:
- Russian
- Ukranian
- Belarussian
- Kazakh
- Uzbek (Latin)
- If system computer name is HAL9TH and username is JohnDoe
- If system total physical memory is less than 1,111 megabytes
- If the malware is executed after August 27, 2023
- It accesses the following websites to download its configuration/component files:
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/sqlite3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/freebl3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/mozglue.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/msvcp40.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/nss3.dll -
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/softokn3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/vcruntime140.dll
ただし、情報公開日現在、このWebサイトにはアクセスできません。
マルウェアは、脆弱性を利用した感染活動を行いません。
<補足>
インストール
スパイウェアは、以下のプロセスを追加します。
- "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{マルウェアのファイルパス}\{マルウェアのファイル名}" & del "%ProgramData%\*.dll" & exit
他のシステム変更
スパイウェアは、以下のファイルを削除します。
- {マルウェアのファイルパス}\{マルウェアのファイル名}.{マルウェアのファイル拡張子}
- %ProgramData%\{ファイル名}.dll
情報漏えい
スパイウェアは、感染コンピュータ上の以下の情報を収集します。
- システム情報:
- パブリックIPアドレス
- 地理的な位置情報
- ハードウェアID
- オペレーティングシステム(OS)のバージョン
- システムアーキテクチャ
- ユーザ名
- コンピュータ名
- 現地時間
- タイムゾーン情報
- 言語
- キーボードの配列
- コンピュータがラップトップあるいはデスクトップであるかどうか
- {マルウェアのファイルパス}\{マルウェアのファイル名}
- 物理的なリソース
- CPUコアカウント
- CPUの名前
- RAM容量
- スレッドの数
- 画面解像度
- GPUドライバ
- 実行中のプロセスの一覧
- インストールされているアプリケーションの一覧
- 現在の画面のスクリーンショット
- ブラウザデータ(オートフィル、Cookie、認証情報、クレジットカードデータ、ブラウザ拡張機能)
- Chromiumベースのブラウザ
- Firefoxベースのブラウザ
- Operaベースのブラウザ
- 電子メールの認証情報:
- Outlook
- 暗号資産(仮想通貨)ウォレットのデータ
- Telegramのセッションデータ
- Steamのメタデータ
- Discordトークン
- アカウントの認証情報:
- Tox
- Pidgin
その他
スパイウェアは、以下を実行します。
- 以下の条件のいずれかを満たすと、自身の活動を終了します。
- コンピュータのプロセッサの数が 2つ未満の場合
- コンピュータの画面のラスターラインが 666 未満の場合
- コンピュータの既定言語が以下のいずれかの場合:
- ロシア語
- ウクライナ語
- ベラルーシ語
- カザフ語
- ウズベク語(ラテン文字表記)
- コンピュータ名が HAL9TH、ユーザ名が JohnDoe の場合
- コンピュータの合計物理メモリが 1,111MB未満の場合
- 2023 年 8 月 27 日以降にスパイウェアが実行された場合
- 以下の Web サイトにアクセスして、設定ファイルやコンポーネントファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/sqlite3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/freebl3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/mozglue.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/msvcp40.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/nss3.dll -
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/softokn3.dll
- http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/vcruntime140.dll
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Troj.Win32.TRX.XXPE50FFF071
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
以下のファイルを検索し削除します。
- %ProgramData%\sqlite3.dll
- %ProgramData%\freebl3.dll
- %ProgramData%\mozglue.dll
- %ProgramData%\msvcp40.dll
- %ProgramData%\nss3.dll
- %ProgramData%\softokn3.dll
- %ProgramData%\vcruntime140.dll
手順 5
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.STEALC.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください